Esta página presenta el acuerdo de encargo del tratamiento de Wartungshelden. Se aplica cuando tratamos datos personales por cuenta de nuestros clientes en los servicios de mantenimiento.
Nota:
Este acuerdo se aplica cuando Wartungshelden trata datos personales por cuenta del cliente en los servicios contratados.
Acuerdo de encargo del tratamiento
entre
el cliente / contratante
– en adelante, «responsable del tratamiento» –
y
Wartungshelden
Reiner Schmeinck
Waltraudstraße 19
45888 Gelsenkirchen
Alemania
Correo electrónico: info@wartungshelden.de
Teléfono: 0209 98898746
– en adelante, «encargado del tratamiento» –
denominados conjuntamente también «partes».
1. Objeto y duración del tratamiento
Este acuerdo regula los derechos y obligaciones de las partes respecto del tratamiento de datos personales por el encargado por cuenta del responsable.
El tratamiento tiene por objeto prestar servicios de mantenimiento, conservación, seguridad, copias de seguridad, supervisión, asistencia y otros servicios técnicos para los sitios WordPress del responsable.
La duración de este acuerdo depende del contrato principal de mantenimiento entre las partes. Al terminar el contrato principal termina también este acuerdo, sin perjuicio de las obligaciones legales de conservación.
2. Naturaleza y finalidad del tratamiento
El encargado trata datos personales exclusivamente para ejecutar los servicios de mantenimiento contratados.
El tratamiento puede incluir, en particular:
- Acceso al sistema WordPress del responsable
- Conservación y mantenimiento técnicos
- Gestión de actualizaciones
- Controles de seguridad
- Análisis de malware
- Creación de copias de seguridad
- Restauración de datos
- Análisis y corrección de errores
- Supervisión y registro técnico
- Servicios de asistencia y administración
El tratamiento concreto solo se realiza en la medida necesaria para cumplir los servicios contractualmente acordados.
3. Tipos de datos personales y categorías de interesados
Pueden tratarse, en particular, las siguientes categorías de datos personales:
- Datos básicos
- Datos de contacto
- Datos de comunicación
- Datos de uso
- Direcciones IP
- Datos de contenido
- Datos de clientes
- Datos contractuales
- Datos de registros técnicos
- Datos de bases de datos, formularios o funciones del sitio
Los interesados pueden ser, en particular:
- Clientes del responsable
- Posibles clientes del responsable
- Visitantes del sitio
- Empleados del responsable
- Personas de contacto
- Otros usuarios del sitio gestionado por el responsable
4. Sujeción a instrucciones
El encargado trata datos personales solo siguiendo instrucciones documentadas del responsable, salvo obligación legal de tratamiento.
Las instrucciones verbales deben confirmarse sin demora en forma textual.
Si el encargado considera que una instrucción infringe la legislación de protección de datos, lo comunica al responsable sin demora.
5. Confidencialidad
El encargado garantiza que todas las personas que intervienen en el tratamiento estén sujetas a un compromiso de confidencialidad o a una obligación legal de secreto adecuada.
La obligación de confidencialidad subsiste tras finalizar este acuerdo.
6. Medidas técnicas y organizativas
El encargado adopta medidas técnicas y organizativas adecuadas para garantizar un nivel de protección proporcionado al riesgo.
Estas medidas pueden incluir, en particular:
- Protección del acceso a sistemas y cuentas
- Gestión de permisos
- Autenticación de dos factores, cuando esté disponible
- Cifrado, cuando resulte técnicamente apropiado
- Protección de accesos administrativos
- Registro de accesos técnicos
- Copias de seguridad
- Protección contra accesos no autorizados
- Medidas de restauración y disponibilidad
- Revisión y actualización periódicas de las medidas de seguridad
El encargado puede adaptar estas medidas al progreso técnico, siempre que no reduzca el nivel de protección.
7. Obligaciones de asistencia
El encargado ayuda al responsable a cumplir sus obligaciones legales, considerando la naturaleza del tratamiento y la información disponible.
Esto incluye, en particular:
- Asistencia con solicitudes de los interesados
- Asistencia en la seguridad del tratamiento
- Asistencia en notificaciones de violaciones de datos
- Asistencia en evaluaciones de impacto de protección de datos, cuando sea necesario
8. Notificación de violaciones de datos
El encargado informa al responsable sin demora al conocer una violación de datos personales relacionada con el tratamiento por cuenta de este.
La notificación debe incluir, en lo posible, toda la información necesaria para que el responsable cumpla sus obligaciones legales de notificación y comunicación.
9. Subencargados
El responsable concede al encargado autorización general para recurrir a otros encargados cuando sea necesario para cumplir el contrato.
El encargado informa al responsable de los cambios previstos en la incorporación o sustitución de otros encargados, para que pueda oponerse.
El encargado garantiza que los subencargados estén sujetos contractualmente a obligaciones de protección de datos sustancialmente equivalentes a las de este acuerdo.
Los subencargados habitualmente utilizados pueden incluir:
- Proveedores de alojamiento
- Proveedores de copias de seguridad
- Proveedores de seguridad y supervisión
- Proveedores de servicios en la nube
- Servicios de correo electrónico y comunicación
- Herramientas de asistencia y mantenimiento remoto
10. Transferencias a terceros países
El tratamiento de datos personales en un tercer país o por un proveedor situado allí solo se realiza cuando se cumplen los requisitos legales.
Cuando se utilizan subencargados u otros proveedores técnicos fuera de la UE o del EEE, el encargado garantiza que existan garantías adecuadas.
11. Derechos de control y acreditación
El responsable puede controlar el cumplimiento de las obligaciones de este acuerdo en una medida razonable o encargarlo a terceros.
El encargado facilita, previa solicitud, la información necesaria para acreditar el cumplimiento de las obligaciones de protección de datos.
Los controles deben realizarse, por regla general, con preaviso razonable, durante el horario habitual y sin perturbar indebidamente la actividad.
Cuando puedan aportarse pruebas mediante documentación adecuada, informes de auditoría, certificados u otros documentos, estos tienen prioridad.
12. Devolución y supresión
Al finalizar los servicios de tratamiento, el encargado debe suprimir o devolver todos los datos personales, a elección del responsable, salvo obligación legal de conservación.
Las obligaciones legales de conservación no se ven afectadas.
Las copias de los procesos habituales de respaldo y archivo pueden mantenerse durante los ciclos de conservación técnicamente necesarios; después deben suprimirse o sobrescribirse conforme a la protección de datos.
13. Obligaciones del responsable
El responsable sigue siendo responsable de la licitud del tratamiento y de la protección de los derechos de los interesados.
Debe informar al encargado sin demora y de forma completa si detecta errores o irregularidades respecto a los requisitos de protección de datos.
Le corresponde garantizar la licitud del tratamiento en su sitio y facilitar a los interesados información de protección de datos completa y correcta.
14. Responsabilidad
La responsabilidad de las partes se rige por la ley y, complementariamente, por las disposiciones válidamente acordadas del contrato principal entre ellas.
No se ven afectadas las normas imperativas de responsabilidad en protección de datos.
15. Disposiciones finales
Las modificaciones y adiciones a este acuerdo requieren como mínimo forma textual.
Si alguna disposición es o deviene total o parcialmente inválida, la validez de las demás no se ve afectada.
Se aplica el Derecho alemán cuando sea legalmente admisible.
Este acuerdo se aplica cuando Wartungshelden trata datos personales por cuenta del cliente en los servicios contratados. No se aplica si no existe acceso a datos personales o no hay tratamiento por cuenta del cliente.
Anexo 1: medidas técnicas y organizativas
Control de acceso físico
- Protección de puestos de trabajo, dispositivos y soportes frente a acceso físico no autorizado
Control de autenticación
- Protección mediante contraseña
- Cuentas individuales
- Autenticación de dos factores, cuando esté disponible
Control de permisos de acceso
- Permisos basados en roles
- Derechos de administrador limitados a las personas necesarias
Control de transmisión
- Transmisión cifrada, cuando esté técnicamente disponible
- Uso de canales de comunicación seguros
Control de introducción de datos
- Registro de accesos técnicos o administrativos, cuando sea técnicamente posible
Control de encargos
- Procesos internos claros para gestionar órdenes de mantenimiento
- Selección de proveedores técnicos adecuados
Control de disponibilidad
- Estrategias de copias de seguridad
- Protección frente a pérdida de datos
- Medidas de restauración
Separación
- Tratamiento separado por proyectos, sitios o clientes, cuando sea técnica y organizativamente viable